WordPressプラグイン「LiteSpeed Cache」に情報漏えいの脆弱性（WooCommerceの購入者情報）

ページの表示を高速化するプラグイン「LiteSpeed Cache」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 7.9.1 までのすべてのバージョンです。

WooCommerce を利用しているサイトで悪用された場合、ある購入者のカートや購入手続きの情報が、ログインしていない第三者に閲覧される可能性があります。

対策として、バージョン 7.9.2 以降への更新と、更新後のキャッシュ削除を推奨します。

脆弱性詳細

本脆弱性は、WooCommerce の「Store API」（カートや購入手続きの情報をやり取りするための仕組み）への応答を、LiteSpeed Cache がキャッシュとして保存してしまう点に存在します。

対象となるサイト
WooCommerce を利用し、LiteSpeed Cache の「Cache REST API」が有効になっているサイトが対象です。この設定は初期状態で有効です。
影響を受ける人
サイトにログインせずに買い物をしている購入者です。ログインしている会員の情報は、初期設定では対象になりません。
攻撃に必要な条件
ログインは必要ありません。購入者の応答がキャッシュに保存されていれば、対象のアドレスを開くだけで閲覧できる状態でした。

想定される被害

この脆弱性が悪用された場合、以下のような被害が想定されます。

購入者情報の閲覧
別の購入者のカートの内容や合計金額、購入手続き画面で入力された氏名・住所・メールアドレス・電話番号などが、第三者に閲覧される可能性があります。

確認されている影響の範囲

閲覧されるのは、その時点でキャッシュに保存されている購入者の情報です。攻撃者が特定の人を選んで情報を取り出したり、全購入者の情報を一度に取り出したりできるわけではありません。

ただし、キャッシュは入れ替わるため、時期によって別の購入者の情報が閲覧される可能性があります。また、REST API のキャッシュは初期設定で最大7日間保存されます。

技術的な詳細

前提：キャッシュの仕組み

LiteSpeed Cache は、一度作成した応答を保存しておき、次に同じアドレスへアクセスがあったときに、作り直さずそのまま返すことで表示を速くしています。

ログインしている人など、表示内容が人によって変わる場合は、Cookie（ブラウザに保存される識別情報）をもとに保存先を分け、別の人に同じ内容が返らないようにしています。

原因1：Store API がキャッシュの対象になっていた

「Cache REST API」が有効な場合、REST API（外部のプログラムからサイトの情報をやり取りする仕組み）への応答は、原則としてキャッシュの対象になります。

LiteSpeed Cache には、キャッシュしてはいけないアドレスをあらかじめ登録した一覧がありますが、この一覧に Store API は含まれていませんでした。WooCommerce 向けの連携処理も、カートや購入手続きの「画面」は対象外にしていた一方で、Store API は対象外にしていませんでした。

本来は購入者本人にだけ返すべき応答が、誰にでも返せる共通の応答として保存されていました。

原因2：購入者ごとに保存先が分かれていなかった

保存先を分ける判断は「カートに商品が入っているかどうか」だけで、購入者一人ひとりを区別するものではありませんでした。

さらに、保存先を分けるための Cookie を持たない状態で届いた応答は、一般の訪問者と同じ保存先に保存されていました。

攻撃の流れ（概要）

購入者が買い物や購入手続きを行い、その応答がキャッシュに保存される
攻撃者が Cookie を持たない状態で、Store API のアドレスにアクセスする
一般の訪問者と同じ保存先に保存されていた購入者の応答が、攻撃者にそのまま返される

対策版での修正

Store API のアドレスが、キャッシュしてはいけないアドレスの一覧に追加されました。
WooCommerce 向けの連携処理でも、Store API への応答をキャッシュしないよう変更されました。
保存先の区別が利用者の実際の状態と食い違っている場合は、その応答をキャッシュしないよう変更されました。
なお、対策バージョンには、本脆弱性以外のセキュリティ修正も含まれています。

脆弱性の種類

CWE-200 認可されていない第三者への機密情報の漏えい

推奨対応事項

該当バージョンのプラグインをご利用の場合、以下の対応を推奨します。

プラグインの更新とキャッシュの削除
- プラグインを対策バージョン（7.9.2 以降）へ更新してください。
- 更新後、管理画面上部のツールバーにある「LiteSpeed」アイコンから「Purge All」を選び、すべてのキャッシュを削除してください。更新前に保存された応答は、削除するまで返され続けます。
すぐに更新できない場合
- 「LiteSpeed Cache」→「Cache」→「Excludes」タブの「Do Not Cache URIs」に /wp-json/wc/store/ を追加し、保存後にキャッシュを削除してください。末尾に「*」は付けないでください（7.9.1 以前では「*」を付けると一致しません）。
- または、「LiteSpeed Cache」→「Cache」→「Cache」タブの「Cache REST API」を無効にしても防げます。ただし、他の REST API の応答もキャッシュされなくなります。
被害確認
- ログインしていない状態のブラウザ（シークレットウィンドウなど）で、https://（サイトのアドレス）/wp-json/wc/store/v1/cart を開いてください。
  商品を入れていないのに商品や金額が表示される、または氏名・住所などが含まれている場合は、他人の応答がキャッシュから返されています。すぐにキャッシュを削除してください。
- Webサーバーのアクセスログを wc/store/v1/cart、wc/store/v1/checkout で検索してください。rest_route= を含む形式のアドレスも対象です。
  通常の買い物でも記録されるため、記録があること自体は異常ではありません。商品の閲覧や購入手続きなどの記録がないまま、同じ送信元からこれらのアドレスだけに繰り返しアクセスしている場合は、情報の取得を試みた可能性があります。

⇒ 他人の情報が表示された場合や、不審なアクセスが確認された場合は、WordPressの専門家への相談を推奨します。個人情報が閲覧された可能性がある場合は、購入者への連絡などの対応についてもご検討ください。

影響を受けるバージョン

LiteSpeed Cache 7.9.1 までのバージョン（7.9.2 で修正）

脆弱性情報 (CVE-ID)

CVE-2026-93389
（公開日 2026年11月5日更新日 2026年11月5日）

脆弱性の深刻度 (CVSS v3)

基本値: 8.2 (重要) 　[Wordfence]

脆弱性脅威度(EPSS)

CVE-2026-93389 悪用確率 0.23% （上位86%） 2026年11月5日時点

（今後30日以内に悪用される確率 )

参考　

LiteSpeed Cache <= 7.9.1 – Unauthenticated Sensitive Information Disclosure (WooCommerce Store API Cart/Checkout PII + Cart-Token) via Public REST Caching

ソフトウェア脆弱性情報の著作権に関する注意事項

This record contains material that is subject to copyright.

License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.

License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.

「WordPressセキュリティ保守」をご利用のお客様へ

「Support」、「Technical」、「Customer」、「Service」の文字と技術的なWordPress顧客サポート

WordPress運用保守

さらに詳しく

LiteSpeed Cache プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。

WordPress プラグイン LiteSpeed Cache 情報（2026年11月6日取得）

最新版バージョン	7.9.3
対象 WordPress バージョン	6.0 またはそれ以降検証済み最新バージョン : 7.1.4
有効インストール数	7,000,000+
関連ページ	プラグインページホームページ

本記事の作成について

本記事は、対象プラグインの公開ソースコードおよびバージョン間の差分を解析し、その結果に基づいて作成しています。
解析および文章作成の過程では生成AIを利用し、内容は当社の担当者が確認したうえで公開しています。